GamePlan schützt Macs mit Apples Pac-Man-Spiel-Logik-Engine

Auf der RSA-Konferenz im März 2019 stellte Digita-Chief-Research-Officer Patrick Wardle GamePlan vor, ein Mac-Sicherheitstool mit einem ungewöhnlichen Kern: Apples GameplayKit, das Framework, das die Logik von Videospielen antreibt. „In PacMan jagen die Geister standardmäßig PacMan, das ist also eine Regel. Wenn PacMan eine Kraftpille frisst, laufen die Geister weg. Das ist eine weitere Regel“, sagte Wardle gegenüber WIRED. „Da haben wir erkannt, dass Apple die ganze schwere Arbeit für uns erledigt hat. Seine Spiel-Logik-Engine lässt sich auch nutzen, um Ereignisse auf einem System sehr effizient zu verarbeiten und eine Warnung auszugeben.“

GamePlan sammelt die systemeigenen Indikatoren von macOS – USB-Einstecken, Bildschirmaufnahmen, Webcam-Zugriff, von unsignierten heruntergeladenen Programmen erstellte Dateien – in einem zentralisierten Strom und lässt Regeln diese auswerten, darunter Regeln, die auf anderen Regeln aufbauen: „Wenn ein unsigniertes Programm persistiert und auf die Webcam zugreift, während der Benutzer nicht aktiv ist, alarmieren.“ Kontext beseitigt Rauschen: Dateien, die von einem Entwickler-Laptop auf USB kopiert werden, lösen keinen Alarm aus, von einem HR-Laptop dagegen schon; eine von Apples Updater geänderte OS-Komponente passiert, von einem nicht vertrauenswürdigen Programm geändert, wird alarmiert. Regeln werden in Paketen ausgeliefert, und Benutzer können eigene schreiben.

Das Tool neigt eher zu falsch-positiven als zu falsch-negativen Ergebnissen und benachrichtigt nur, statt zu handeln. Blake Darché, CSO von Area 1 Security, das GamePlan auf fast allen Firmen-Macs des Unternehmens einsetzte, sagte, es erzeuge eine angemessene Zahl von Benachrichtigungen und sei leicht anzupassen, wenn es zu ausführlich werde, und lobte, mehr auf dem Mac selbst zu tun, „statt den ganzen Fokus auf Cloud und maschinelles Lernen zu legen“. Es funktioniert zudem als Compliance-Prüfer für Grundlagen wie Firewall- und Festplattenverschlüsselungsstatus.

GameplayKit löst bereits „Ereignisse bewerten, eine Aktion ableiten“ für Spielfiguren; dieselbe Regel-Engine kann statt Pac-Man-Geistern Sicherheitstelemetrie verarbeiten.

Apple hatte bereits eine schnelle, allgemeine Regel-Auswertungs-Engine für Spielverhalten gebaut; ihre Zweckentfremdung ersparte den Bau einer weiteren Ereignisverarbeitungs-Pipeline.

Regeln statt Signaturen bedeuten, dass dieselbe Engine unbekannte Malware erkennen kann, indem sie verdächtige Aktionen beobachtet, statt Proben abzugleichen.

Kontextbezogene Regeln – wer, welcher Rechner, welcher Zustand – unterdrücken Fehlalarme, das Problem der Alarmmüdigkeit, das die Überwachung plagt.

Die Nutzung der systemeigenen Indikatoren hält die Erkennung lokal auf dem Mac, ohne Cloud-Rundreise.

Bevor man eine Engine baut, sollte man prüfen, ob die Plattform bereits eine unter anderem Namen mitliefert: Spiel-KI und ereignisgesteuerte Sicherheit sind dasselbe Regelproblem.

Digita plante, Regelpakete für Kunden vorab zu befüllen und neue Regeln zu schreiben, sobald Bedrohungen auftauchten; Wardle hatte bereits mit der Erkennung von „Evil Maid“-Angriffen aus einfachen Ereignisinformationen experimentiert. Area 1 Security testete GamePlan laut dem Bericht vom März 2019 weiterhin flottenweit.